强化我的灯服务器。我需要防火墙吗？

Question

我正在 Debian Linux (Lenny) 上设置我的第一台 Lamp 服务器。我是一个完全的新手，所以请原谅我的无知。

我正在尝试保护服务器，并且刚刚使用 netstat 输出删除了所有不需要的开放端口。我已经把它归结为只有 2 个开放端口，它们是 http 和 mysql 端口。

如果我只打开这两个端口，这是否意味着它们是某人/某物可以通过它们对我的机器发起攻击的唯一两个端口？如果只有这两个开放端口，我是否需要设置防火墙？显然，将来我将需要为诸如 ssh 之类的东西打开其他端口。

谢谢

Answer 1

1. 你真的需要访问远程mysql访问吗？也许您可以稍微限制一下，或者通过 localhost/loopback 访问 mysql 就足够了？

2. 您是否限制了 OUTGOING 连接？即使您有一些限制传出连接的易受攻击的软件，也会帮助您阻止潜在有害负载的下载。

建议规则：

iptables -P INPUT DROP
iptables -P OUTPUT DROP

iptables -F
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -p tcp --dport 22 -s your.trusted.ip.address -j ACCEPT

iptables -A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT

当您需要运行系统更新时：

iptables -I OUTPUT -j ACCEPT

完成后：

iptables -D OUTPUT -j ACCEPT